漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-048178
漏洞标题：北京某微信订餐商家统一后台弱口令导致已订餐用户信息泄露
相关厂商：客如云
漏洞作者： 黑色键盘
提交时间：2014-01-07 17:37
修复时间：2014-04-07 17:37
公开时间：2014-04-07 17:37
漏洞类型：后台弱口令
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-07： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-04-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
商家管理后台弱口令可导致已订餐用户信息泄露。
枚举商家编码可获得很多用户手机号码，工作/住宅地址等信息。
更进一步有可能威胁人身安全。
详细说明：
商家管理后台弱口令可导致已订餐用户信息泄露。
枚举商家编码可获得很多用户手机号码，工作/住宅地址等信息。
更进一步有可能威胁人身安全。
漏洞证明：
微信订餐后台弱口令导致已订餐用户信息泄露。
经尝试，更换商家编号，相同帐户可登入。
进入后台后，可获得很多用户手机号码，工作/住宅地址等信息。
http://b.keruyun.com/index.do
-------------------------------------
商户编号：810000197
用户名：admin
密码：123456
------------------------------------
弱口令可导致已订餐用户信息泄露。进一步威胁人身安全。你懂的。
经尝试，更换商家编号，相同帐户可登入，如商家编码：810000196、810000195等.....
以下为进入后截图。
修复方案：
结使用方培训，加强帐户密码安全意识。不要使用admin这种帐户及密码。
版权声明：转载请注明来源 黑色键盘@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝